Замучил вирус Kates.CT2

[Анди 1]

Вирус никак себя не проявляет, периодически всплывают окна с предупреждением о заражении и предложениями что с вирусом сделать.

 

Сообщение от модератора thyrex

Карантин virusinfo_cure.zip нам не нужен

hijackthis.log

virusinfo_syscheck.zip

[rabbit 60]

а какая версия Авиры у вас установлена?

[Анди 1]

Product version 9.0.0.415 08.11.2009

Search engine 8.02.01.78 24.11.2009

Virus definition file 7.10.01.117 27.11.2009

Control Center 9.00.00.19 21.11.2009

Config Center 9.00.00.21 20.02.2009

Luke Filewalker 9.00.03.10 21.11.2009

AntiVir Guard 9.00.01.32 21.07.2009

Filter 9.00.03.15 28.07.2009

Scheduler 9.00.00.09 13.05.2009

Updater 9.00.00.52 21.07.2009

 

 

 

Вот, что нарыл, наверное 9.

[snifer67 120]

Скачайте GMER по одной из указанных ссылок:

Gmer со случайным именем (рекомендуется), Gmer в zip-архиве (перед применением распаковать в отдельную папку)

- Запустите программу (пользователям Vista запускать от имени Администратора по правой кнопке мыши).

Начнется экспресс-проверка. При появлении окна с сообщением о деятельности руткита, нажмите No.

После завершения экспресс-проверки в правой части окна программы уберите метку со следующих пунктов:

• Sections
  
• IAT/EAT
  
• Show all
  

Из всех дисков оставьте отмеченным только системный диск (обычно C:\)

- Нажмите на кнопку Scan и дождитесь окончания проверки. При появлении окна с сообщением о деятельности руткита, нажмите OK.

После окончания проверки сохраните его лог (нажмите на кнопку Save) и вложите в сообщение.

[rabbit 60]

у вас FREE версия?

 

Сообщение от модератора thyrex

Какое это имеет значение в данном случае?

[thyrex 1 468]

Что делают в логах следы Касперского 5 и Symantec?

 

Выполните скрипт в AVZ

begin
SearchRootkit(true, true);
SetAVZGuardStatus(True);
QuarantineFile('C:\DOCUME~1\86A9~1\LOCALS~1\mbklai.old','');
QuarantineFile('C:\Documents and Settings\Андрей\restorer64_a.exe','');
DeleteFile('C:\Documents and Settings\Андрей\restorer64_a.exe');
DeleteFile('C:\DOCUME~1\86A9~1\LOCALS~1\mbklai.old');
RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows NT\CurrentVersion\Drivers32','midi9');
RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','restorer64_a');
BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Компьютер перезагрузится.

 

Выполните скрипт в AVZ

begin
CreateQurantineArchive(GetAVZDirectory+'quarantine.zip');
end.

quarantine.zip из папки AVZ отправьте на newvirus@kaspersky.com. Полученный ответ сообщите здесь.

 

Пофиксите в HiJack

O2 - BHO: ndzlibP - {725FBEBD-B083-44C7-99D7-007F5ACC0CFE} - (no file)
O2 - BHO: xaelibP - {757FF18E-494C-46AC-AF9D-6A6012C315A3} - (no file)
O20 - AppInit_DLLs: winmm.dll

Сделайте новые логи + выполните совет из сообщения №4

[Анди 1]

Строгое предупреждение от модератора thyrex

Повторное предупреждение

Карантин virusinfo_cure.zip нам не нужен

 

Касперский стоял раньше, Симантех - незнаю, отдавал как то спецам вирусы почистить, может они ставили.Сначала GMER скачал, сканирование продолжалось 10 часов, оставил комп без присмотра, прихожу - комп в спящем режиме, запускаю выходит синий экран и "некролог" по системе. Перезагрузился и начал с выполнения скрипта от thyrex.

После выполнения скрипта окна предупреждения АВиры появляться перестали. Вот новые логи. Попытаюсь просканировать Гимером еще раз.

virusinfo_syscure.zip

hijackthis.log

[snifer67 120]

Сделайте лог gmer.

[Анди 1]

Опять 12 часов сканирование GMERом, выскочило окно

WARNING!

Попытался сохранить тот лог, который получился выдает сообщение The file hasd been saved successfully.

Что делать? Компьютер вроде работает нормально.

111.log

virusinfo_syscheck.zip

Изменено 2 декабря, 2009 пользователем Анди

[thyrex 1 468]

Сохраните текст ниже как cleanup.bat в ту же папку, где находится bh10rcm2.exe (gmer)

bh10rcm2.exe -del service btmlogjg
bh10rcm2.exe -del file "C:\WINDOWS\system32\owggwsx.dll"
bh10rcm2.exe -del reg "HKLM\SYSTEM\ControlSet001\Services\btmlogjg"
bh10rcm2.exe -del reg "HKLM\SYSTEM\CurrentControlSet\Services\btmlogjg"
bh10rcm2.exe -reboot

И запустите cleanup.bat

Компьютер перезагрузится

 

Сделать новый лог gmer

[Анди 1]

А в чем сохранять текст? Все разобрался, в блокноте, за тем сохранить как.

 

Выскочило сообщение. "Параметр задан неверно" и следом

"An error 0x00000002 occured during thedeletion of file: C\WINDOUS\sistem32\owggwsx.dll Не удается найти указанный файл."

Изменено 2 декабря, 2009 пользователем Анди

[thyrex 1 468]

Gmer часто ругается, но исправно удаляет. Делайте новый лог

[Анди 1]

Вот новый лог GMERа.

222.log

[thyrex 1 468]

Сохраните текст ниже как cleanup.bat в ту же папку, где находится bh10rcm2.exe (gmer)

bh10rcm2.exe -del file "C:\WINDOWS\system32\owggwsx.dll"
bh10rcm2.exe -del reg "HKLM\SYSTEM\ControlSet001\Services\btmlogjg"
bh10rcm2.exe -reboot

И запустите cleanup.bat

Компьютер перезагрузится

 

Сделать новый лог gmer

[Анди 1]

Сегодня GMER уже не ругался, сканировал 9 часов.

333.log